File instruksi bernama AGENTS.md yang tersimpan di folder Downloads dapat menjadi jalur serangan baru terhadap AI coding agent. Temuan Forever Security menunjukkan bahwa file teks biasa tersebut mampu memengaruhi perilaku agen ketika agen membuka direktori yang memuatnya.
Dalam kasus yang dilaporkan pada 22–26 Oktober 2026, file itu berusaha mengarahkan agen untuk memasang paket npm berbahaya bernama function-color. Upaya pemasangan pada sistem pelanggan berhasil diblokir sebelum paket dijalankan oleh perangkat keamanan. Namun, temuan ini memperlihatkan bahwa instruksi lokal yang tampak seperti dokumentasi biasa dapat diperlakukan sebagai arahan tepercaya oleh agen.
Pengujian terkait juga mencakup Codex dan Claude Code. Apabila agen memperoleh hak akses yang cukup luas, teknik serupa berpotensi dimanfaatkan untuk mencuri token autentikasi atau mengambil alih akun. Risiko tersebut bergantung pada izin agen, konfigurasi sandbox, serta tindakan yang diizinkan pada perangkat pengguna.
Bagaimana file AGENTS.md memengaruhi coding agent
AI coding agent biasanya membaca file instruksi di dalam direktori kerja untuk memahami aturan proyek. File seperti AGENTS.md dapat berisi petunjuk tentang cara menjalankan pengujian, memasang dependensi, mengubah berkas, atau menggunakan alat tertentu. Mekanisme ini membantu pekerjaan pengembangan, tetapi juga menciptakan lapisan kepercayaan yang dapat disalahgunakan.
Masalah muncul ketika agen membuka folder yang bukan proyek tepercaya, termasuk Downloads. File yang baru saja diunduh dari situs web dapat ikut terbaca dan dianggap sebagai panduan lokal. Dengan demikian, penyerang tidak harus mengubah instruksi yang diketik pengguna secara langsung. Mereka cukup membuat pengguna mengunduh atau membuka folder yang berisi file instruksi berbahaya.
Dalam skenario yang ditemukan, AGENTS.md mencoba mendorong agen memasang paket npm tertentu. Perintah pemasangan dependensi mungkin terlihat seperti langkah teknis biasa, terutama jika agen sedang diminta menyiapkan atau menjalankan sebuah proyek. Padahal, paket tersebut dapat membawa risiko tambahan apabila berasal dari sumber yang tidak tepercaya atau dirancang untuk mengakses data sensitif.
Risiko tidak berhenti pada pemasangan paket
Pemasangan paket merupakan salah satu tindakan yang dapat diminta oleh file instruksi berbahaya. Agen yang memiliki akses ke terminal, berkas pengguna, variabel lingkungan, atau kredensial pengembang bisa menghadapi konsekuensi yang lebih besar.
Token autentikasi yang tersimpan di lingkungan kerja dapat memberikan akses ke layanan pengembangan, repositori, maupun sistem lain. Dalam kondisi tertentu, akses tersebut dapat dimanfaatkan untuk mengubah kode, membaca informasi privat, atau mengambil alih akun. Temuan ini tidak menyatakan bahwa seluruh pengguna pasti terdampak, tetapi menunjukkan mengapa hak akses agen perlu dibatasi sejak awal.
Serangan ini juga berbeda dari eksploitasi tradisional. Tidak ada keharusan untuk memanfaatkan kelemahan teknis pada sistem operasi atau aplikasi. File teks yang tampak normal dapat memanfaatkan cara kerja agen dalam mengikuti instruksi lokal. Karena itu, pemeriksaan terhadap isi file menjadi bagian penting dari keamanan penggunaan coding agent.
Mengapa folder Downloads perlu diperlakukan hati-hati
Folder Downloads sering berisi campuran dokumen, arsip, contoh kode, dan berkas dari sumber yang belum diverifikasi. Pengguna dapat menganggap isinya pasif karena sebagian besar berupa file teks atau proyek yang baru diunduh. Bagi coding agent, situasinya berbeda: isi folder dapat menjadi konteks yang memengaruhi tindakan agen.
Ketika direktori Downloads dibuka sebagai ruang kerja, agen mungkin menemukan AGENTS.md atau file instruksi lain. Nama file yang umum dan formatnya yang sederhana tidak menunjukkan apakah isinya aman. Instruksi di dalamnya harus dianggap sebagai data dari pihak luar sampai pengguna memeriksa asal dan tujuannya.
Risiko yang sama dapat berlaku pada CLAUDE.md dan file instruksi sejenis. Setiap alat dapat memiliki mekanisme berbeda dalam membaca panduan lokal, tetapi prinsip keamanannya serupa: jangan memberikan kepercayaan otomatis kepada file yang berasal dari lokasi atau sumber yang belum dikenal.
Langkah untuk mengurangi risiko
- Periksa file instruksi sebelum menjalankan agen. Buka AGENTS.md, CLAUDE.md, dan berkas sejenis menggunakan editor teks. Perhatikan instruksi yang meminta pemasangan paket, pengiriman data, pembacaan kredensial, atau perubahan konfigurasi keamanan.
- Jangan menjadikan Downloads sebagai proyek kerja utama. Pindahkan kode yang ingin diperiksa ke direktori khusus setelah sumber dan isinya ditinjau. Hindari membuka seluruh folder Downloads dengan akses agen.
- Pertahankan persetujuan manual. Approval prompt harus tetap aktif untuk perintah terminal, pemasangan dependensi, perubahan file penting, dan aktivitas yang berhubungan dengan jaringan.
- Gunakan sandbox dan hak akses minimum. Agen sebaiknya tidak memiliki akses bebas ke token autentikasi, kunci privat, direktori pribadi, atau layanan produksi apabila akses tersebut tidak diperlukan.
- Uji kode dan paket tidak tepercaya secara terisolasi. Gunakan lingkungan sementara yang tidak berisi kredensial penting. Setelah pengujian selesai, hapus lingkungan tersebut bila tidak lagi diperlukan.
- Verifikasi paket sebelum memasangnya. Periksa nama, asal, kebutuhan proyek, dan perubahan yang akan dilakukan. Jangan mengikuti rekomendasi pemasangan hanya karena instruksi tersebut muncul di file lokal.
Perubahan cara memandang file konfigurasi
Selama ini, perhatian keamanan sering diarahkan pada kode yang dapat dieksekusi, skrip, atau paket pihak ketiga. Temuan Forever Security memperluas area yang perlu diperiksa ke file instruksi yang dibaca oleh AI coding agent. File tersebut mungkin tidak menjalankan kode secara langsung, tetapi dapat memengaruhi keputusan agen untuk menjalankan perintah tertentu.
Pengembang dan tim keamanan perlu memasukkan file instruksi lokal dalam proses peninjauan proyek. Pemeriksaan dapat mencakup asal file, perubahan terbaru, perintah yang disarankan, serta direktori yang boleh diakses agen. Aturan ini terutama penting ketika kode berasal dari unduhan, lampiran, repositori publik, atau sumber yang belum memiliki reputasi jelas.
Temuan ini juga menegaskan pentingnya membatasi otonomi agen. Agen dapat mempercepat pekerjaan pengembangan, tetapi pengguna tetap perlu mengetahui tindakan yang akan dilakukan sebelum perintah berisiko dijalankan. Persetujuan manual, sandbox, dan pemisahan kredensial menjadi pengaman yang saling melengkapi.
Belum ada indikasi bahwa paket function-color berhasil dipasang pada sistem pelanggan dalam kasus tersebut karena upaya itu diblokir perangkat keamanan. Meski demikian, file AGENTS.md AI coding agent harus diperlakukan sebagai bagian dari permukaan serangan, bukan sekadar dokumentasi proyek. Pemeriksaan sederhana sebelum membuka direktori dapat mencegah instruksi asing memengaruhi pekerjaan dan akses penting di komputer.
